Regels voor leveranciers van bedrijven die onder de Cyberbeveiligingswet vallen

De datum is al meerdere keren verschoven, en er is nog steeds geen definitieve datum bekend. Toch lijkt het vrijwel zeker dat de nieuwe Cyberbeveiligingswet (Cbw) in het tweede kwartaal van 2026 van kracht wordt. Dit betekent dat veel bedrijven en organisaties nu alles op alles moeten zetten om straks aan de nieuwe wetgeving te voldoen. Het betreft niet alleen de organisaties die direct onder de wet vallen – ook alle bedrijven waarmee zij zaken doen moeten zich voorbereiden op de veranderingen.

Wat is de Cyberbeveiligingswet

Een cyberaanval kan enorme gevolgen hebben. In veel gevallen kan het zelfs de hele samenleving lamleggen. Denk maar aan een cyberaanval op het spoorsysteem, op een energiecentrale of op brugsluizen. Om te voorkomen dat worst-case-scenario’s werkelijkheid worden, heeft de EU de NIS2-richtlijn uitgewerkt, oftewel de Cyberbeveiligingswet. Als deze wet in werking treedt, krijgen de bepalingen in de NIS2-richtlijn ook een plaats binnen het Nederlandse recht.

De Cyberbeveiligingswet is in principe gericht op bedrijven en organisaties in kritieke sectoren. Zij zijn verplicht om zich als zodanig te registreren bij het Nationaal Cyber Security Centrum (NCSC). De zorgplicht binnen de richtlijn houdt in dat ze alle maatregelen moeten treffen om cyberaanvallen te voorkomen en de schade ervan te beperken. Met de meldplicht wordt bedoeld dat ze cyberaanvallen binnen 24 uur bij het NCSC moeten melden. Ook moeten ze toestaan dat er toezicht wordt gehouden, bijvoorbeeld door de Rijksinspectie Digitale Infrastructuur.

Leveranciers

De zorgplicht van bedrijven die onder deze wet vallen is behoorlijk vergaand. Ze zijn niet alleen verantwoordelijk voor de digitale beveiliging van hun eigen systemen, maar moeten ook toezien op de veiligheid van de systemen van hun zakenpartners. Als leverancier ben je onderdeel van de toeleveringsketen. De Cbw-organisatie moet er daarom voor zorgen dat jouw digitale beveiliging ook op orde is.

Er wordt wel een onderscheid gemaakt in het soort leverancier. Als jouw bedrijf bijvoorbeeld verantwoordelijk is voor de catering van de vrijmibo, hoef je je niet direct zorgen te maken. Heeft jouw bedrijf op een of andere manier toegang tot de netwerk- of informatiesystemen van een Cbw-bedrijf? Dan zul je wel degelijk extra stappen moeten ondernemen.

Maatregelen

Om jouw producten of diensten af te kunnen blijven nemen, zal er vanuit het Cbw-bedrijf een aantal vragen worden gesteld. Wees goed voorbereid en laat zien dat je aan alle voorwaarden voldoet:

Beveiligde netwerken

Het internet op jouw werkplek is goed beveiligd met een sterk wachtwoord. Medewerkers wordt afgeraden om hun zakelijke accounts via openbare netwerken te openen. Wordt er binnen jouw bedrijf regelmatig thuisgewerkt? Een VPN is jouw sleutel tot online vrijheid. Thuiswerkers hoeven alleen de VPN in te schakelen om hun verbinding te versleutelen en van optimale veiligheid en privacy te genieten.

Wachtwoorden en accounts

Zet multifactorauthenticatie aan voor alle zakelijke en privacygevoelige accounts. Bij het inloggen moet de gebruiker een extra beveiligingsmethode doorlopen, zoals een code, vingerafdruk of gezichtsherkenning. Laat alle medewerkers een uniek en moeilijk te raden wachtwoord kiezen voor hun werkaccount. Herinner hen er regelmatig aan om het wachtwoord te wijzigen. En verwijder accounts van mensen die niet langer in dienst zijn meteen.

Software

Zorg ervoor dat alle laptops, smartphones en andere digitale apparaten van de zaak zijn uitgerust met antivirussoftware. Benadruk ook het belang van updates. Als een update te lang wordt uitgesteld, kunnen cybercriminelen alsnog hun slag slaan. Dat geldt niet alleen voor antivirusprogramma’s, maar voor alle software.

Documentatie

Een Cbw-bedrijf wil ook graag weten hoe jouw bedrijf zich heeft voorbereid op een eventuele cyberaanval. Op welke manieren spoor je binnen jouw bedrijf een digitale dreiging op? Welke stappen neem je als je een kwetsbaarheid hebt ontdekt? En welke acties onderneem je als een cyberaanval zich daadwerkelijk voordoet? Zorg ervoor dat je beleid hebt vastgesteld en draaiboeken klaar hebt liggen.

Conclusie

De Cyberbeveiligingswet is bedoeld om een totale ontwrichting van de samenleving door een cyberaanval te voorkomen. Ook als jouw bedrijf geen cruciale rol speelt, is het verstandig om de wet als leidraad te gebruiken.